Šifrovanie Zoom má podľa správy „vážne známe nedostatky“

Dve samostatné správy odhalili ďalšie problémy v populárnej videokonferenčnej aplikácii Zoom.

Najskôr správa od The Verge poznamenáva, že bezpečnostný pracovník použil automatizovaný nástroj, ktorý umožňuje prehľadávať schôdzky a vyhľadávať schôdzky, ktoré nie sú chránené heslami. Podľa všetkého dokázala nájsť 2 400 hovorov za jediný deň, pričom získala odkaz na schôdzku, dátum, čas, organizátora a tému schôdzky. Zo správy:

Bezpečnostný profesionál Trent Lo a členovia spoločnosti SecKC, bezpečnostnej skupiny stretávajúcej sa v Kansase City, vytvorili program s názvom zWarDial, ktorý umožňuje automaticky uhádnuť Zoom ID schôdzky, ktoré má deväť až 11 číslic, a zhromaždiť informácie o týchto schôdzkach, podľa správa.

Okrem toho, že dokáže nájsť okolo 100 stretnutí za hodinu, jedna inštancia zWarDial dokáže úspešne určiť legitímne ID stretnutia 14 percent času, povedala Lo pre Krebs pre bezpečnosť. A ako súčasť takmer 2 400 nadchádzajúcich alebo opakujúcich sa stretnutí Zoom zWarDial, ktoré sa našli v priebehu jedného skenovacieho dňa, program extrahoval odkaz Zväčšenie schôdzky, dátum a čas, organizátora schôdzky a tému schôdzky podľa údajov, ktoré Lo zdieľal s Krebsom dňa Bezpečnosť.

instagram viewer

Vo vyhlásení pre The Verge k tejto otázke spoločnosť Zoom uviedla:

„Zoom dôrazne odporúča používateľom implementovať heslá pre všetky ich schôdze, aby sa zabezpečilo, že sa nepozvaní používatelia nebudú môcť pripojiť... Heslá pre nové schôdzky boli predvolene povolené od konca minulého roka, pokiaľ sa neprihlásia vlastníci účtov alebo správcovia. Zisťujeme, či za určitých okolností nie sú používatelia nijako prepojení vlastník účtu alebo správca účtu nemusel mať v čase zmeny predvolene zapnuté heslá vyrobené. “

Druhá samostatná správa od Intercept zverejnené dnes tvrdí, že šifrovací algoritmus Zoom má „vážne známe slabiny“ a to kľúče vydávajú servery niekedy so sídlom v Číne, aj keď všetci účastníci majú sídlo v USA.

MEETINGS ON ZOOM, čoraz populárnejšia videokonferenčná služba, sú šifrované pomocou algoritmu so závažnými známymi slabinami a podľa výskumníkov z University of niekedy niekedy používajú kľúče vydané servermi v Číne, aj keď sú účastníci stretnutia všetci v Severnej Amerike Toronto.

Vedci tiež zistili, že Zoom chráni video a audio obsah pomocou domácej šifrovacej schémy, ktorá existuje zraniteľnosť funkcie „čakárne“ spoločnosti Zoom a zdá sa, že spoločnosť Zoom má v Číne najmenej 700 zamestnancov rozdelených medzi troch dcérske spoločnosti. V správe pre občianske laboratórium univerzity, ktorá sa často používa v kruhoch informačnej bezpečnosti, dochádzajú k záveru, že služba Zoom „nie je vhodné pre tajomstvá “a že môže byť zo zákona povinné sprístupniť šifrovacie kľúče čínskym orgánom a„ reagovať na tlak “zo strany ich.

Zoom sa k tejto otázke, ktorá tiež nebola, bližšie nevyjadril hlásené Forbes, ktorý poznamenáva:

„... v rozhovore zverejnenom v piatok na Forbes, výkonný riaditeľ Eric Yuan uviedol, že spoločnosť sa chystá skontrolovať, ako smeruje rozhovory do Číny, ale zdôraznil, že údaje sú chránené. Pretože spoločnosť Citizen Lab nezaslala svoje zistenia spoločnosti Zoom, uviedla, že je vo verejnom záujme vydanie informácie čo najskôr, videokonferenčná spoločnosť by si nebola vedomá zistenia. Yuan však ubezpečil, že ak sa údaje o používateľoch prenášali do Číny, keď tam používatelia ani nemali sídlo, „sme ochotní sa tým zaoberať“.

Bezpečnostné obavy týkajúce sa Zoom sú v komunite teraz zjavne dobre známe. Povzbudzujúcim znamením je, že Zoom si to všimol, ospravedlnil sa a prisahal som, že všetky tieto problémy opravím v priebehu nasledujúcich 90 dní a medzitým zmrazíme nové funkcie.